Phishing : comment reconnaître un email frauduleux en 5 signes

Le mail arrive à 6 h 47, un mardi. Objet : « Votre compte sera suspendu sous 24 h ». Je suis à moitié réveillé, je bois mon café, et pendant deux secondes, j'y crois. C'est exactement ce que l'expéditeur veut. Ces deux secondes.

Pour reconnaître un email frauduleux, il n'existe pas de détecteur magique. Il existe des réflexes, une méthode, et beaucoup d'attention portée aux détails qu'on ne regarde jamais : l'adresse réelle derrière le nom affiché, l'en-tête du message, la vraie destination d'un lien. J'ai appris tout ça en me faisant avoir, une fois, sur un faux colis Amazon à une époque où je pensais être trop malin pour tomber dans le panneau. Spoiler : non.

Reconnaître un email frauduleux : la méthode qui prend 30 secondes

On m'a posé la question des dizaines de fois, toujours sous la même forme : « comment tu fais pour être sûr ? ». La vérité, c'est qu'on n'est jamais sûr à 100 %. On cumule des indices. Et quand trois indices se rejoignent, on ferme le mail et on va vérifier par un autre canal.

Voici l'ordre dans lequel j'inspecte un message suspect. Ce n'est pas une liste théorique, c'est celui que j'applique dans ma boîte pro où il rentre entre dix et quinze tentatives par semaine.

Quels sont les 4 signes qui permettent d'identifier un email de phishing ?

Les quatre signaux qui reviennent le plus souvent sont : l'urgence ou la menace dans l'objet, une adresse d'expéditeur qui ne correspond pas à l'organisme prétendu, un lien dont le domaine ne colle pas avec le nom affiché, et une demande d'informations sensibles (identifiants, mot de passe, coordonnées bancaires) ou une pièce jointe inattendue. Si un seul est présent, méfiance. Si deux ou trois se cumulent, vous avez votre réponse.

Ces quatre signes ne sont pas une loi gravée dans le marbre, hein. Un phishing bien fait n'en cochera parfois qu'un seul. Mais dans la grande majorité des cas, le fraudeur en laisse traîner deux.

Signe n°1 : l'urgence fabriquée

« Valider votre compte », « facture impayée », « colis bloqué en douane », « compte suspendu ». Le point commun ? Une horloge. Le fraudeur sait qu'une décision prise dans la panique est une mauvaise décision.

J'ai un principe simple : tout mail qui fixe un délai court est suspect par défaut. Pas coupable, suspect. Une vraie banque, un vrai fournisseur, un vrai service public vous laisse le temps de respirer. Ils préfèrent vous relancer trois fois plutôt que de vous menacer une seule.

Signe n°2 : l'expéditeur qui ment sur son nom

Regardez au-delà du nom affiché. « Netflix », « Apple », « URSSAF » peuvent apparaître en clair alors que l'adresse réelle est un charabia du genre no-reply@secure-update-4931.xyz. Le nom d'affichage n'est qu'un texte que l'expéditeur choisit librement.

Survolez l'adresse dans votre client mail (sur Gmail, cliquez sur le nom). Le domaine à droite de l'arobase est le seul élément qui compte. Est-ce bien celui de l'organisme ? Y a-t-il des caractères remplacés (un « rn » à la place d'un « m », un « 0 » à la place d'un « o ») ? Un domaine légitime ne s'amuse pas à ressembler à un autre.

Signe n°3 : le lien piégé

Ne cliquez pas. Survolez. La destination réelle s'affiche en bas de votre fenêtre. Si vous voyez un domaine inconnu, un raccourcisseur de lien, ou un sous-domaine interminable qui commence par le vrai nom pour finir par autre chose, arrêtez-vous là.

Un truc que j'ai vu passer : urssaf.remboursement-securite.net. Le mot « urssaf » apparaît, mais le domaine réel est remboursement-securite.net. C'est exactement le piège. Le nom rassurant est à gauche, la réalité est à droite.

Signe n°4 : la demande d'informations sensibles

Aucun organisme sérieux ne vous demandera votre mot de passe, un code de validation à usage unique, ou vos coordonnées bancaires complètes par mail. Jamais. Pas la banque, pas les impôts, pas votre opérateur téléphonique, pas même un service que vous utilisez tous les jours.

Si le mail contient un formulaire à remplir directement dans le corps du message ou un lien vers une page de « connexion », c'est un signal fort. Les vraies plateformes vous renvoient vers leur site que vous tapez vous-même dans la barre d'adresse.

Vérifier techniquement : l'en-tête, ce que personne ne regarde

Voilà l'angle que je n'ai vu nulle part ailleurs, et c'est celui qui m'a le plus servi quand le doute persiste. Chaque mail porte un en-tête que votre client cache par défaut. Dedans, il y a l'expéditeur réel, le chemin parcouru, et parfois les résultats des vérifications SPF, DKIM et DMARC.

En clair : ces trois protocoles permettent au serveur de réception de confirmer que le message vient bien du domaine qu'il prétend. Quand le contrôle DMARC échoue, vous voyez souvent « dmarc=fail » dans les en-têtes. C'est presque une signature de fraude.

Pour y accéder :

1. Ouvrez le mail dans votre client (pas la version mobile, la version web ou desktop).
2. Cherchez « afficher l'original » ou « afficher les en-têtes » dans le menu.
3. Repérez les lignes Received, Return-Path et Authentication-Results.
4. Comparez le domaine du Return-Path avec celui de l'expéditeur affiché.

C'est technique. Je le concède. Mais si vous travaillez dans une structure où vous recevez beaucoup de sollicitations, ça vaut le coup de savoir le faire une fois. Après, vous le refaites en dix secondes.

Trois canaux, trois pièges

Le phishing ne passe plus seulement par mail. Voici comment distinguer les trois canaux que je croise le plus souvent, avec les signes propres à chacun.

Canal	Signe typique	Ce qui doit vous alerter immédiatement
Email	Nom d'expéditeur usurpé, objet alarmiste	Une adresse technique qui ne correspond pas
SMS (smishing)	Message court, lien raccourci, expéditeur à 5 chiffres	Un numéro inconnu qui prétend être une banque ou un transporteur
QR code (quishing)	QR collé sur un panneau, un parking, un affichage public	Le QR n'est pas imprimé avec le reste du support, il est rapporté

Le quishing, on en parle peu, et pourtant je vois de plus en plus de faux QR collés sur des horodateurs ou des bornes de recharge. Le principe est identique : on vous fait scanner, la page vous demande de payer ou de vous connecter, et voilà.

Que faire en cas de phishing email ?

Vous avez cliqué. Ou vous avez un doute. Ça m'est arrivé, donc je ne vais pas faire la morale. Voici la séquence que j'applique, dans cet ordre précis.

Étape 1 : couper l'accès

Changez immédiatement le mot de passe de tous les comptes qui partagent ce mot de passe (on ne juge pas, ça arrive à tout le monde). Puis activez la double authentification partout où c'est possible. C'est la seule mesure qui empêche vraiment la réutilisation.

Étape 2 : prévenir la banque

Si vous avez saisi des coordonnées bancaires, appelez votre agence dans l'heure. Pas demain. Les premières transactions frauduleuses partent souvent dans les minutes qui suivent. J'ai un ami qui a perdu 340 € sur une fausse facture d'énergie, récupérés parce qu'il a appelé en dix minutes. Le délai compte vraiment.

Étape 3 : signaler

• cybermalveillance.gouv.fr : la plateforme officielle pour déclarer et obtenir des conseils.
• Pharos : pour signaler un contenu illicite en ligne.
• Signal Spam : pour transférer le mail frauduleux et alimenter la base.
• Votre banque directement si elle est concernée.

Ces signalements prennent cinq minutes chacun. On croit toujours que ça ne sert à rien. En réalité, chaque signalement aide à faire tomber un domaine ou une campagne active. Et un domaine qui tombe, ce sont des centaines de victimes en moins.

Étape 4 : renforcer la suite

Un gestionnaire de mots de passe, une double authentification, et une règle simple : ne jamais cliquer sur un lien de paiement ou de connexion reçu par mail sans repasser par le site officiel en tapant l'adresse soi-même.

J'ai reçu un mail suspect, mais je ne suis pas sûr : je fais quoi ?

Ne répondez pas, ne cliquez pas, ne transférez pas à des proches. Faites une capture d'écran, puis allez vérifier directement sur le site officiel en tapant l'adresse vous-même. Si vous avez encore un doute après ça, transférez le mail à l'adresse de signalement de l'organisme prétendu (la plupart en ont une). Et supprimez.

Comment reconnaître un faux mail de type ANTAI ?

L'ANTAI (Agence nationale de traitement automatisé des infractions) n'envoie pas de mail contenant un lien de paiement direct. Un vrai avis de contravention arrive par courrier ou via le site officiel que vous tapez vous-même. Un mail qui vous presse de payer une amende par carte, avec un lien à cliquer et un délai de 48 h, coche tous les signaux d'alerte. Le domaine du lien n'est jamais celui de l'agence.

Pourquoi ça marche encore, malgré tout ce qu'on sait

Franchement, on se dit tous qu'on ne tomberait jamais. Et pourtant les campagnes continuent, et elles continuent de fonctionner, sinon elles auraient disparu. La raison est simple : le fraudeur ne vise pas votre intelligence, il vise votre attention.

Une majorité de personnes qui se font avoir ne sont pas naïves. Elles sont pressées, fatiguées, ou en train de faire trois choses à la fois. Le mail tombe pile au moment où la vigilance baisse. C'est du ciblage émotionnel, pas du ciblage technique.

Ce qui m'a le plus surpris, en observant les tentatives que je reçois : la qualité a grimpé. Les fautes d'orthographe grossières se raréfient. Les logos sont propres. Les objets sont bien écrits. Il reste heureusement les détails techniques — un domaine bizarre, une adresse de réponse qui ne colle pas, un lien qui pointe ailleurs. Ce sont ces détails qui vous sauvent.

Alors voilà ma conviction, et je la défends : la meilleure défense n'est pas technologique, elle est comportementale. Un ralentissement volontaire de trente secondes devant chaque mail qui déclenche une émotion. Une règle que vous appliquez sans exception. Et l'acceptation que vous tomberez peut-être un jour dans le piège, parce que tout le monde peut tomber. Ce qui compte, c'est ce que vous faites dans les minutes qui suivent.